SnowflakeのSCIM Provisioning実装ガイド: 自動ユーザー同期の設計と運用

SCIM（System for Cross-domain Identity Management）2.0は、 IdP（Identity Provider）からSnowflakeへユーザーとグループを自動的にプロビジョニング・デプロビジョニングするための標準プロトコルです。 SCIM統合を設定すると、IdP側でのユーザー追加・変更・無効化がSnowflakeに自動反映され、手動でのCREATE USER / DROP USER操作が不要になります。

SCIM連携のアーキテクチャ

SCIM連携では、IdPがSCIMクライアントとしてSnowflakeのSCIM APIエンドポイントにHTTPリクエストを送信します。 SnowflakeはSCIMサーバーとして動作し、リクエストに応じてユーザーやグループの作成・更新・無効化を実行します。 認証にはBearer Token（SCIM Security Integration作成時に生成されるOAuthトークン）を使用します。

SCIM Security Integrationの作成

-- ACCOUNTADMINロールで実行
USE ROLE ACCOUNTADMIN;

-- SCIMプロビジョニング用のカスタムロールを作成
CREATE ROLE IF NOT EXISTS scim_provisioner;
GRANT CREATE USER ON ACCOUNT TO ROLE scim_provisioner;
GRANT CREATE ROLE ON ACCOUNT TO ROLE scim_provisioner;

-- Okta向けSCIM Security Integration
CREATE SECURITY INTEGRATION okta_scim_integration
  TYPE = SCIM
  SCIM_CLIENT = 'OKTA'
  RUN_AS_ROLE = 'SCIM_PROVISIONER';

-- Azure AD向けSCIM Security Integration
CREATE SECURITY INTEGRATION azure_scim_integration
  TYPE = SCIM
  SCIM_CLIENT = 'AZURE'
  RUN_AS_ROLE = 'SCIM_PROVISIONER';

-- 汎用SCIM（PingFederate等）
CREATE SECURITY INTEGRATION generic_scim_integration
  TYPE = SCIM
  SCIM_CLIENT = 'GENERIC'
  RUN_AS_ROLE = 'SCIM_PROVISIONER';

SCIMトークンの取得

-- SCIM APIエンドポイントとトークンを取得
-- Integration作成後にSELECTで確認
SELECT SYSTEM$GENERATE_SCIM_ACCESS_TOKEN('OKTA_SCIM_INTEGRATION');

-- SCIMエンドポイントURL
-- https://<account>.snowflakecomputing.com/scim/v2/

-- トークンはIdP側のSCIMプロビジョニング設定に入力する

IdP別セットアップフロー

Oktaの設定手順

1. OktaのApp Integrations から「Snowflake」アプリを追加
2. Provisioningタブ → Configure API Integration を有効化
3. API Token にSnowflakeで生成したSCIMトークンを入力
4. Base URL に https://<account>.snowflakecomputing.com/scim/v2/ を入力
5. Provisioning to App で Create Users / Update Attributes / Deactivate Users を有効化
6. Assignmentsタブで同期対象のグループ/ユーザーを割り当て

Azure ADの設定手順

1. Azure Portal → Enterprise Applications → Snowflake を追加
2. Provisioning → Automatic を選択
3. Tenant URL に https://<account>.snowflakecomputing.com/scim/v2/ を入力
4. Secret Token にSnowflakeで生成したSCIMトークンを入力
5. Test Connection で接続を確認
6. Mappings でユーザー属性・グループ属性のマッピングを確認・カスタマイズ
7. Settings でScope（Sync assigned users and groups only）を設定
8. Provisioning Status を On にして保存

同期対象と挙動

RUN_AS_ROLEの設計

SCIM Security IntegrationのRUN_AS_ROLEは、SCIMプロビジョニングがSnowflake内で操作を実行する際に使用するロールです。 このロールに付与されている権限の範囲内でのみプロビジョニングが実行されます。

-- RUN_AS_ROLE用のカスタムロール設計例
CREATE ROLE scim_provisioner;

-- ユーザーとロールの作成権限
GRANT CREATE USER ON ACCOUNT TO ROLE scim_provisioner;
GRANT CREATE ROLE ON ACCOUNT TO ROLE scim_provisioner;

-- SCIMで作成されたロールをACCOUNTADMINに管理させたい場合
GRANT ROLE scim_provisioner TO ROLE ACCOUNTADMIN;

-- 注意: RUN_AS_ROLEにACCOUNTADMINを指定するのは
-- セキュリティ上推奨されない。最小権限のカスタムロールを使用する

トラブルシューティング

• ユーザーが同期されない：IdP側のSCIMトークンが期限切れの可能性。SYSTEM$GENERATE_SCIM_ACCESS_TOKENで新しいトークンを生成し、IdP側に再設定する
• グループが同期されるがロールが作成されない：RUN_AS_ROLEにCREATE ROLE権限が付与されていない。GRANT CREATE ROLE ON ACCOUNT TO ROLE <run_as_role> を実行
• 同期済みユーザーが既存ユーザーと競合：LOGIN_NAMEが同一のユーザーが既にSnowflakeに存在する場合、SCIMはそのユーザーを更新する。意図しない上書きを防ぐため、事前にLOGIN_NAMEの重複を確認する
• SCIMログの確認：REST_EVENT_HISTORYビューでSCIM APIコールの成功/失敗を追跡可能

-- SCIM APIコールの監査
SELECT *
FROM TABLE(INFORMATION_SCHEMA.REST_EVENT_HISTORY(
  DATE_RANGE_START => DATEADD(DAY, -7, CURRENT_DATE()),
  DATE_RANGE_END => CURRENT_DATE()
))
WHERE event_type = 'SCIM'
ORDER BY event_timestamp DESC;

問題で確認

よくある質問